Windows Server 2003 強化 FSO (FileSystemObject) 安全性：NTFS 權限隔離虛擬主機目錄

ASP 的 FileSystemObject (FSO) 具備強大檔案系統存取能力，若未妥善限制權限，惡意使用者可跨目錄讀寫他人檔案。本文示範透過 NTFS 權限移除 Everyone/Users、建立站點專屬匿名帳號、設定 IIS 匿名驗證，實現虛擬主機目錄級隔離。

核心步驟

1. 磁碟根目錄權限清理：C: 右鍵 → 安全性 → 移除 Everyone、Users；若 ASP 失效，加入 IIS_WPG 群組並重開機。
2. 建立站點專屬帳號：電腦管理 → 本地使用者 → 新增 (如 Abc) → 密碼永不過期、不可變更、隸屬 Guests 群組。
3. 設定站點目錄 NTFS 權限：站點資料夾 (如 E:\Abc) → 安全性 → 移除繼承與 Everyone → 僅保留 Administrators 與 Abc 完全控制。
4. IIS 匿名驗證綁定帳號：IIS 管理員 → 站點屬性 → 目錄安全性 → 編輯匿名存取 → 瀏覽選取 Abc 帳號並輸入密碼。

效果

訪客以 Abc 匿名身分存取，僅能在 E:\Abc 目錄下運作 FSO，無法跨目錄竊取/破壞其他站點檔案。

常見問題：解除 FSO 上傳 200KB 限制

1. 停止 IIS Admin Service。
2. 編輯 %windir%\system32\inetsrv\metabase.xml，尋找 AspMaxRequestEntityAllowed，預設 204800 (200KB) 改為 51200000 (50MB)。
3. 重新啟動 IIS Admin Service。